Composer怎么排查依赖解析死循环_Composer解析死循环分析思路【汇总】

懂行的人都知道，Composer 解析卡死，不是它“慢”——是 SAT 求解器在无限回溯。CPU 直接飙到 95% 以上，内存以每秒 50MB 的速度往上蹿，这时候你跑 `composer update --dry-run -v`，最后几行如果反复出现同一组包名，基本可以下判断了：闭环锁死，跑不掉的。

先说个人的核心判断：不要一上来就怀疑是慢，先看它最后的“临终遗言”。

看 composer update --dry-run -v 的“临终遗言”

这招儿不改任何文件，但会完整走一遍 SAT 求解流程。失败前，它会打印最后尝试的组合和立即 reject 的原因——这不是普通的日志，这是求解器留下的决策痕迹。 - 盯着最后 5 到 10 行看：如果反复出现 `vendor/a` → `vendor/b` → `vendor/a` 这样的嵌套，就是强烈的闭环信号。 - 留意 “Rejecting `vendor/b` because it requires `vendor/a` ^2.0” 这类语句——而当前项目锁的是 `vendor/a` 1.9，说明版本约束在闭环里互相拉扯。 - 如果某个包名连续出现 3 次及以上（比如 `myorg/core` 被 `myorg/api`、`myorg/utils`、`phpunit/phpunit` 分别引入），大概率是间接环。

用 composer depends --tree 实锤闭环链

想抓到硬核证据，这是目前唯一能直接看到闭环路径的命令。但有两个硬前提：项目必须已有有效的 `composer.lock`，而且必须加 `--tree` 参数。 - 跑一下 `composer depends myorg/core --tree`，如果输出里出现了类似 `myorg/core ← myorg/api ← myorg/core` 这样的链条，那就实锤了。 - 如果出现 `Package not found`，说明这个包根本没进 `composer.lock`——直接删掉 `vendor/` 和 `composer.lock`，再跑 `composer update --dry-run -v`，看第一步卡在哪儿。 - 别只查一级依赖：光跑 `composer depends myorg/core`（不加 `--tree`）只会显示直接上游，A→C→B→A 这种多跳环根本看不到。

警惕 autoload + require-dev 构成的隐式循环

这是最容易被忽视的“陷阱”。很多所谓的“死循环”，根源根本不在 `require` 字段里，而是测试工具通过自动加载把你的代码反向拉进了它的运行时上下文。 - 检查所有 `require-dev` 包的 `composer.json`，重点搜 `../`、`../../`、`src/`、`tests/`——比如 `phpunit/phpunit` 的 `"autoload": {"psr-4": {"App\": "../src/"}}` 就会让它加载你的 `src/`。 - 确认你自己的 `autoload-dev` 没把 `vendor/` 下的路径写进去，否则 Composer 会认为“我依赖我自己”。 - 临时注释掉非核心的 `require-dev` 条目（特别是 `infection/infection`、`phpstan/phpstan` 这类插件），再试一次 `composer update`。你可能发现，很多“死循环”只是测试包在捣鬼。

别删 composer.lock 强制重装

直接删 `composer.lock` 再跑 `composer install`，那不是解法，是制造新问题——它绕过了所有版本一致性保障，大概率导致生产环境行为漂移。 - `composer update --lock` 才是安全操作：不升级包、不改 `vendor/`，只刷新 `composer.lock` 的结构和哈希。适合改了 `platform` 或 `minimum-stability` 后同步 lock 文件。 - 遇到 `cycle detected`，优先用 `composer depends --tree` 定位谁在引入可疑包，再用 `composer why-not vendor/package:version` 查具体哪条路径卡死。 - 真正能破环的路其实就三条：抽离契约包（比如 `myorg/contracts`）、运行时解耦（接口 + DI）、或者把仅用于测试的依赖降级到 `require-dev`。没有“跳过”选项，也没有“强制安装”参数。 说到底，闭环往往藏在 autoload 路径和 require-dev 的交叉区域，而不是明面上的 require 字段。盯住 `composer depends --tree` 输出里那个自指路径——比如 `myorg/core ← myorg/api ← myorg/core`——那才是你应该花精力去解决的地方。